Bir sabah şirketinize Kişisel Verileri Koruma Kurumu'ndan resmi bir yazı geliyor: Eski bir çalışanınız, kamera kayıtlarıyla ilgili başvurusuna yanıt verilmediğini ve PDKS'de parmak izinin zorunlu tutulduğunu ileri sürerek şikâyette bulunmuş. Kurum, şikâyet konusu hakkında açıklama ve belgeler talep ediyor. Bu noktada yanıtınızın kalitesi, büyük ölçüde son birkaç yılda nasıl bir uyum altyapısı kurduğunuza bağlıdır. KVKK denetimi ve Kurul incelemeleri, iş müfettişi denetimlerinden farklı olarak çoğunlukla bir şikâyet veya ihbarla başlar ve İK süreçleri bu şikâyetlerin önemli bir kısmının kaynağıdır.
6698 sayılı Kanun'un 15. maddesine göre Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda re'sen, görev alanına giren konularda inceleme yapar. İnceleme sürecinde veri sorumlusundan bilgi ve belge istenebilir ve gerekli görülen hallerde yerinde inceleme yapılabilir. Kurul, ihlal tespit ederse ihlalin giderilmesine karar verebilir ve md. 18 kapsamında idari para cezası uygulayabilir. Ceza tutarları her yıl yeniden değerleme oranıyla güncellendiğinden, güncel tutarlar için Resmî Gazete'yi ve Kurum duyurularını takip etmeniz gerekir.
Bu yazıda bir Kurul incelemesine İK açısından nasıl hazırlanacağınızı ve gelen bir yazıya nasıl yanıt vereceğinizi anlatıyoruz.
KVKK Denetimi Hangi Durumlarda Gündeme Gelir?
İK kaynaklı incelemelerin tipik tetikleyicileri şunlardır:
- Yanıtsız bırakılan veya özensiz yanıtlanan ilgili kişi başvuruları,
- Kamera, e-posta veya cihaz izleme uygulamalarına ilişkin çalışan şikâyetleri,
- Biyometrik PDKS sistemlerinde alternatif sunulmaması,
- Sağlık verilerinin yöneticiler veya ekip grupları arasında paylaşılması,
- Bordro veya özlük bilgisi içeren veri ihlalleri ve ihlal bildirimleri,
- İşten ayrılan çalışanın verilerinin amacı dışında kullanılması,
- Aday verilerinin rızasız olarak yetenek havuzunda tutulması.
Görüldüğü gibi bu listenin büyük kısmı, bu yazı serisinde ele aldığımız konularla örtüşüyor. İnceleme genellikle şikâyet konusuyla başlar, ancak Kurul şirketin genel uyum durumunu da sorgulayabilir.
Kanıt Klasörü: Denetimden Önce Hazırlanması Gerekenler
En iyi hazırlık, yazı gelmeden önce düzenli tutulan bir uyum kanıt klasörüdür. İK açısından bu klasörde şunlar bulunmalıdır:
| Belge | Neyi ispatlar? |
|---|---|
| Kişisel veri işleme envanteri | Hangi verinin hangi amaçla işlendiği |
| Çalışan ve aday aydınlatma metinleri ile tebliğ kayıtları | Aydınlatma yükümlülüğünün yerine getirildiği |
| Açık rıza formları ve rıza takip kayıtları | Rızaya dayanan işlemlerin dayanağı |
| Saklama ve imha politikası, imha tutanakları | Verilerin gerekli süre kadar saklandığı; periyodik imhaların (en fazla 6 ayda bir) yapıldığı |
| Bilgi güvenliği ve izleme politikaları | Çalışanların önceden bilgilendirildiği |
| Meşru menfaat ve ölçülülük değerlendirmeleri | Kamera, PDKS, araç takibi gibi uygulamaların gerekçesi |
| Erişim yetki matrisi | Verilere yalnızca yetkili kişilerin eriştiği |
| Veri işleyen sözleşmeleri | Tedarikçilerle güvenlik yükümlülüklerinin düzenlendiği |
| Eğitim kayıtları ve gizlilik taahhütleri | İdari tedbirlerin alındığı |
| İlgili kişi başvuru kayıtları | Başvuruların en geç 30 gün içinde yanıtlandığı |
| Veri ihlali kayıt defteri ve bildirimler | İhlallerin 72 saat içinde değerlendirilip bildirildiği |
| VERBİS kayıt çıktıları (yükümlüyseniz) | Sicil bilgilerinin güncel olduğu |
Kurul Yazısı Geldiğinde: Adım Adım
- Yazıyı kayda alın ve süreyi belirleyin: Yazıda yanıt için verilen süreyi takvime işleyin. Süre yetersizse, gerekçesiyle ek süre talebinde bulunmayı değerlendirin.
- Ekip kurun: Hukuk, İK, BT ve gerekirse ilgili birim yöneticisinden oluşan küçük bir ekip oluşturun. Dış hukuk danışmanınızı erken aşamada dahil edin.
- Şikâyet konusunu analiz edin: İddia tam olarak nedir? Hangi süreç, hangi tarih aralığı, hangi veri kategorisi?
- Olguları toplayın: İlgili politika, aydınlatma metni, rıza formu, başvuru yazışmaları, log kayıtları ve sözleşmeleri bir araya getirin.
- Eksikleri dürüstçe değerlendirin: Bir eksiklik varsa, yanıtı hazırlarken bu eksikliği gidermek için hangi adımları attığınızı ortaya koymak, savunmanızı güçlendirir.
- Yanıtı yapılandırın: Olgular, hukuki değerlendirme, alınan tedbirler ve ekler şeklinde net bir yapı kurun.
- Tutarlılığı kontrol edin: Yanıtta söylediğiniz her şeyin envanter, aydınlatma metni ve VERBİS kaydıyla uyumlu olduğundan emin olun.
- Dersleri uygulayın: İnceleme sonucunu beklemeden, tespit ettiğiniz süreç açıklarını kapatın ve benzer şikâyetlerin önüne geçin.
Örnek senaryo
Girişte anlattığımız örneğe dönelim. Şirket, kanıt klasörü sayesinde eski çalışanın başvurusunun alındığı tarihi, yanıt yazısını ve gönderim kaydını hızla buluyor; ancak yanıtın 30 günlük sürenin birkaç gün sonrasında gönderildiğini fark ediyor. PDKS konusunda ise rıza formları mevcut, fakat alternatif giriş yönteminin yazılı bir prosedürü yok. Ekip, yanıtında gecikmeyi kabul edip başvuru takibi için kurduğu yeni iş akışını, PDKS için de alternatif kart uygulamasını belgeleriyle birlikte sunuyor. Eksikleri saklamak yerine giderildiğini göstermek, yanıtın inandırıcılığını artırıyor.
Yanıt Yazısında Kaçınılması Gerekenler
- Belgeyle desteklenmeyen genel ifadeler ("tüm yükümlülüklerimizi eksiksiz yerine getiriyoruz").
- Şikâyetçi çalışan hakkında konuyla ilgisiz kişisel bilgiler veya suçlayıcı nitelendirmeler.
- İnceleme sırasında, şikâyetle ilgili kayıtların imha edilmesi. Bu tür bir işlem, kötü niyet izlenimi yaratabilir.
- Fiilen uygulanmayan tedbirleri uygulanıyormuş gibi gösterme.
- Süreyi son güne bırakıp aceleyle hazırlanan, eksik ekli yanıtlar.
İş Müfettişi Denetimi ile Farkı
İK ekipleri iş müfettişi denetimlerine daha alışkındır. Her iki denetimde de belge düzeni kritik olsa da odak noktaları farklıdır: İş müfettişi çalışma süreleri, ücret, izin ve özlük dosyası gibi iş hukuku yükümlülüklerine odaklanır; Kurul ise verinin hangi dayanakla, ne kadar süre ve hangi güvenlik önlemleriyle işlendiğine bakar. Özlük dosyası her iki denetimin de kesişim noktasıdır. İş müfettişi denetimine hazırlık için iş müfettişi denetimine nasıl hazırlanılır yazımıza göz atabilirsiniz.
Denetime Hazır Bir İK Altyapısı Kuralım
Kurul incelemesine hazırlıklı olmak, aslında iyi işleyen bir uyum sisteminin doğal sonucudur. İK Partner, İK süreçlerinize özgü kanıt klasörünüzü oluşturur, iç denetim yaparak olası şikâyet risklerini önceden tespit eder ve gerektiğinde Kurul yazılarına yanıt hazırlığında hukuk danışmanınızla birlikte çalışır. İş hukuku ve mevzuat uyumu hizmetimiz hakkında ücretsiz ilk görüşme talep edebilirsiniz.
Not: Bu içerik genel bilgilendirme amaçlıdır; mevzuat ve Kurul uygulamaları değişebilir. Somut durumlar ve Kurul yazışmaları için mutlaka hukuk danışmanınıza başvurunuz.
